Wie erstellt man ein Dateninventar? Praxisleitfaden für die KVKK

Ein Dateninventar ist eine Arbeitsübersicht, die sichtbar macht, wo, in welchem Prozess, zu welchem Zweck und mit wem eine Organisation personenbezogene Daten verarbeitet. Für die KVKK-Compliance reicht es nicht aus, lediglich eine Tabelle zu erstellen. Entscheidend ist, die Datenflüsse zwischen Geschäftsprozessen und den eingesetzten Systemen zu verstehen.

Ein sorgfältig erstelltes Inventar trägt dazu bei, dass Informationspflichten und interne Verfahren mit der tatsächlichen Praxis übereinstimmen. Gleichzeitig zeigt es, welche Verarbeitungstätigkeiten vorrangig geprüft werden sollten. Denn die Organisation erhält ein konkretes Bild davon, über welche Daten sie verfügt und an welchen Stellen diese Daten verarbeitet oder weitergeleitet werden.

Welche Fragen beantwortet ein Dateninventar?

Das zentrale Ziel eines Inventars besteht darin, Verarbeitungstätigkeiten personenbezogener Daten auf Prozessebene zu beschreiben. Für jeden Eintrag sollten mindestens folgende Fragen beantwortet werden: Welche personenbezogenen Daten werden verarbeitet, wer ist die betroffene Person, was ist der Zweck der Verarbeitung, aus welcher Quelle stammen die Daten, wo werden sie gespeichert, wer hat Zugriff und an welche Dritten werden sie übermittelt?

Dabei dürfen Datenkategorie und Verarbeitungszweck nicht miteinander verwechselt werden. In einem Vertriebsprozess können beispielsweise Name, Kontaktdaten und Rechnungsdaten verarbeitet werden. Diese Daten können jedoch unterschiedlichen Zwecken dienen, etwa der Angebotserstellung, dem Abschluss eines Vertrags oder der Buchhaltung.

Nehmen wir ein alltägliches Beispiel: Ein Kunde füllt ein Formular aus, die Angaben erscheinen auf dem Bildschirm des Vertriebsteams, ein Angebot wird erstellt und anschließend werden die Daten für die Rechnungsstellung an das Buchhaltungssystem übertragen. Das Inventar betrachtet diesen Ablauf nicht lediglich als einen Eintrag zu Kundendaten, sondern als Verarbeitungstätigkeit, bei der Quelle, Zweck, Systeme und Übermittlungen erkennbar sind.

Beginnen Sie mit Prozessen, nicht mit Abteilungen

Wer bei der Erstellung eines Dateninventars ausschließlich Abteilungen wie Personalwesen, Marketing oder Informationstechnologie auflistet, erhält möglicherweise ein unvollständiges Ergebnis. Dieselben personenbezogenen Daten können innerhalb eines einzigen Prozesses, an dem mehrere Abteilungen beteiligt sind, zu unterschiedlichen Zwecken verarbeitet werden. Deshalb sollte nicht der Abteilungsname, sondern die Tätigkeit der Organisation den Ausgangspunkt bilden.

Im ersten Schritt können zentrale Prozesse wie Kundengewinnung, Vertrieb, Support, Recruiting, Beschaffung, Besuchermanagement und Finanzen erfasst werden. Anschließend werden die in den jeweiligen Prozessen verwendeten Formulare, Anwendungen, E-Mail-Postfächer, Dateiablagen und Dienstleister ermittelt. Gespräche mit den Prozessverantwortlichen sind wichtig, um Praktiken sichtbar zu machen, die in den vorhandenen Unterlagen nicht erkennbar sind.

Wird beispielsweise im Personalprozess nur die Erfassung von Lebensläufen berücksichtigt, bleibt das Inventar unvollständig. Notizen aus Bewerbungsgesprächen, Referenzprüfungen, Unterlagen zum Arbeitsantritt und die Erstellung von Zugangskarten können ebenfalls eigenständige Verarbeitungsschritte innerhalb desselben Prozesses sein.

Dokumentieren Sie jede Verarbeitungstätigkeit mit derselben Struktur

Damit das Inventar nutzbar bleibt, sollte für alle Prozesse eine vergleichbare Eintragsstruktur verwendet werden. Eine praktische Vorlage kann folgende Felder enthalten:

• Name der Verarbeitungstätigkeit und des zugehörigen Prozesses
• Gruppe der betroffenen Personen
• Kategorien personenbezogener Daten und gegebenenfalls besondere Kategorien personenbezogener Daten
• Zweck der Verarbeitung
• Interne Bewertung der Rechtsgrundlage der Verarbeitung
• Quelle, aus der die Daten erhoben werden
• Verwendete Anwendung, Gerät oder physische Umgebung
• Zugreifende interne Stellen und Dienstleister
• Empfänger der Übermittlung und Zweck der Übermittlung
• Interne Regelung zur Aufbewahrung und Löschung
• Prozessverantwortlicher und Datum der Aktualisierung

Diese Felder müssen nicht in jeder Organisation mit demselben Detaillierungsgrad ausgefüllt werden. Entscheidend ist, dass jeder, der einen Eintrag liest, den Lebenszyklus der Daten nachvollziehen kann. Bleibt der Verarbeitungszweck unklar oder wird lediglich eine Abteilung genannt, ohne das verwendete System anzugeben, wird der Eintrag später nur schwer prüfbar.

In Supportanfragen können beispielsweise der Name des Kunden, Kontaktdaten, Geräteinformationen und der Inhalt des Schriftwechsels enthalten sein. Es sollte klar dokumentiert werden, dass diese Daten zur Bearbeitung der Supportanfrage verwendet, auf der Supportplattform gespeichert und bei Bedarf an einen technischen Dienstleister übermittelt werden.

Validieren Sie Datenflüsse anhand von Systemen und Dienstleistern

Gespräche zu den einzelnen Prozessen reichen allein möglicherweise nicht aus. Mitarbeitende wissen nicht immer mit derselben Genauigkeit, welche Systeme die Daten durchlaufen oder welche Dienste im Hintergrund beteiligt sind. Deshalb sollten auch das Anwendungsinventar, Benutzerberechtigungen, Verträge, Formulare, E-Mail-Verteiler und Dateiablagen geprüft werden.

Die vom technischen Team bereitgestellte Systemliste kann mit den Prozessinformationen der Fachabteilungen abgeglichen werden. Wird festgestellt, dass in einem System Kundendaten gespeichert sind, dieses System jedoch im Inventar der zuständigen Abteilung fehlt, besteht eine erklärungsbedürftige Lücke zwischen den beiden Aufzeichnungen. Ebenso sollte geprüft werden, ob eine Übermittlung an einen Dienstleister zwar stattfindet, aber weder im Vertrag noch in der Prozessdokumentation erscheint.

Beispielsweise kann das Marketingteam bei der Nutzung eines Kampagnenformulars davon ausgehen, dass die Daten lediglich an eine E-Mail-Liste übermittelt werden. Eine technische Prüfung kann jedoch zeigen, dass die Formulardaten zunächst in ein Kundenbeziehungsmanagementsystem und anschließend an ein weiteres Kommunikationstool übertragen werden. Wird diese Kette in der Übersicht nicht abgebildet, spiegeln die erstellten Informationsmaterialien und Zugriffskontrollen den tatsächlichen Datenfluss nicht wider.

Halten Sie das Inventar aktuell und stimmen Sie es mit VERBİS ab

Ein Dateninventar sollte nicht als einmaliges Projekt betrachtet werden. Die Einführung einer neuen Software, die Änderung eines Formulars, die Beauftragung eines externen Dienstleisters oder der Beginn eines neuen Geschäftsprozesses machen eine Überprüfung des Inventars erforderlich. Wird keine Verantwortung für die Aktualisierung festgelegt, entwickelt sich die Datei schnell zu einem Archiv, das den aktuellen Stand nicht mehr abbildet.

Die Inventarisierung kann, sofern erforderlich, auch als Grundlage für die Vorbereitungen zum Veri Sorumluları Sicil Bilgi Sistemi (VERBİS) dienen. Die VERBİS-Pflicht und mögliche Ausnahmen müssen jedoch anhand der jeweils aktuellen Kriterien gesondert bewertet werden. Einträge oder Meldungen sollten mit den Angaben im Inventar übereinstimmen.

Ein häufiger Fehler besteht darin, ausschließlich die Formulare auf der Website zu prüfen und physische Dokumente, Telefongespräche sowie Datenflüsse zu Lieferanten außer Acht zu lassen. Ein weiterer Fehler ist, alle Tätigkeiten unter einem einzigen allgemeinen Zweck zusammenzufassen. Sinnvoller ist es, eine Arbeitsweise zu etablieren, die von den Prozessverantwortlichen bestätigt, mit technischen Aufzeichnungen abgeglichen und bei Änderungen aktualisiert wird.

Wählen Sie als ersten Schritt mit überschaubarem Risiko einen einzelnen Prozess aus und dokumentieren Sie gemeinsam den gesamten Ablauf – von der Datenquelle bis zur Löschung oder Archivierung.

Häufig gestellte Fragen

Wird ein Dateninventar ausschließlich vom Informationstechnologie-Team erstellt?

Nein. Das Informationstechnologie-Team überprüft Systeme und Zugriffsrechte. Die Fachabteilungen erläutern, in welchem Prozess und zu welchem Zweck die Daten verwendet werden. Verlässlich wird das Inventar erst durch die gemeinsame Bewertung dieser Informationen.

Muss jede personenbezogene Information im Inventar in einer eigenen Zeile aufgeführt werden?

Nicht unbedingt. Datenkategorien, die innerhalb desselben Prozesses zu demselben Zweck und über ähnliche Datenflüsse verarbeitet werden, können gemeinsam aufgeführt werden. Bei unterschiedlichen Zwecken, Systemen oder Übermittlungen ist eine getrennte Darstellung jedoch verständlicher.

Sind Dateninventar und VERBİS-Eintrag dasselbe?

Nein. Das Dateninventar ist eine interne Arbeitsübersicht, die die Verarbeitungstätigkeiten einer Organisation detailliert abbildet. VERBİS ist dagegen ein Registereintrag, der bei bestehender entsprechender Verpflichtung nach dem vorgesehenen Verfahren vorgenommen wird. Das Inventar gehört zu den wichtigsten Grundlagen für diese Vorbereitung.